Raccogli i log di Trellix DLP (precedentemente McAfee DLP)

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Trellix DLP (precedentemente noto come McAfee DLP) in Google Security Operations utilizzando Bindplane.

Trellix DLP è una soluzione di prevenzione della perdita di dati che monitora, rileva e impedisce la trasmissione non autorizzata di dati sensibili su endpoint, reti e ambienti cloud. Viene gestito tramite Trellix ePO (ePolicy Orchestrator), che fornisce gestione centralizzata delle policy, monitoraggio degli eventi e report sugli incidenti DLP.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Un host Windows 2016 o versioni successive o Linux con systemd.
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso con privilegi alla console Trellix ePO (ePolicy Orchestrator).
• Policy Trellix DLP configurate e che generano eventi in ePO.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliato)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea account di servizio.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere, si trova nella directory /observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<customer_id>'
       endpoint: chronicle.googleapis.com
       log_type: MCAFEE_DLP
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
• Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
• Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.
• Sostituisci <customer_id> con l'ID cliente effettivo.
• Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nella sezione Ottieni le credenziali di Google SecOps per l'agente Bindplane.

Esportatore API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MCAFEE_DLP
      raw_log_field: body
      ingestion_labels:
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

1. Esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Verifica che il servizio sia in esecuzione:

   sudo systemctl status observiq-otel-collector
   

3. Controlla i log per verificare la presenza di errori:

   sudo journalctl -u observiq-otel-collector -f
   

Per riavviare l'agente Bindplane in Windows:

1. Scegli una delle seguenti opzioni:

   • Prompt dei comandi o PowerShell come amministratore:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console dei servizi:
     1. Premi Win+R, digita services.msc e premi Invio.
     2. Individua observIQ OpenTelemetry Collector.
     3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

2. Verifica che il servizio sia in esecuzione:

   sc query observiq-otel-collector
   

3. Controlla i log per verificare la presenza di errori:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configura l'inoltro del syslog di Trellix DLP

L'inoltro di syslog per Trellix DLP viene configurato tramite la console Trellix ePO (ePolicy Orchestrator) registrando un server syslog.

1. Accedi alla console Trellix ePO.
2. Vai a Menu > Configurazione > Server registrati.
3. Fai clic su Nuovo server.
4. Nel menu a discesa Tipo di server, seleziona Syslog.
5. Nel campo Nome, inserisci un nome descrittivo (ad esempio Chronicle-Bindplane).
6. Fai clic su Avanti.
7. Fornisci i seguenti dettagli di configurazione:
   • Server Syslog: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
   • Porta: inserisci 514.
   • Protocollo: seleziona TCP.
   • Formato evento: seleziona Common Event Format (CEF).
8. Fai clic su Test Connection (Verifica connessione) per verificare la connettività all'agente Bindplane.
9. Fai clic su Salva per salvare il server syslog registrato.

Attiva l'inoltro degli eventi DLP

1. Vai a Menu > Automation > Risposte automatiche.
2. Fai clic su New Response (Nuova risposta) per creare una nuova regola di risposta automatica.
3. Nel campo Nome, inserisci un nome descrittivo (ad esempio DLP Syslog Forwarding).
4. Nel menu a discesa Gruppo di eventi, seleziona Eventi DLP.
5. Nel menu a discesa Tipo di evento, seleziona Eventi relativi a incidenti DLP.
6. Fai clic su Avanti.
7. Nella scheda Filtri, configura i filtri in base alle tue esigenze o lascia le impostazioni predefinite per inoltrare tutti gli eventi DLP.
8. Fai clic su Avanti.
9. Nella scheda Azioni, fai clic su Aggiungi azione.
10. Nel menu a discesa Tipo di azione, seleziona Invia Syslog.
11. Nel menu a discesa Syslog Server (Server Syslog), seleziona il server Syslog registrato (Chronicle-Bindplane).
12. Fai clic su Avanti.

13. Controlla il riepilogo e fai clic su Salva.

    Nota: Ripetere questi passaggi per ulteriori tipi di eventi DLP (come Eventi operativi DLP o Eventi dei criteri DLP) per inoltrare tutti i log DLP pertinenti.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
additional_field_0	additional.fields	Unita
additional_field_1	additional.fields	Unita
additional_field_2	additional.fields	Unita
additional_field_3	additional.fields	Unita
additional_field_4	additional.fields	Unita
additional_field_5	additional.fields	Unita
additional_field_6	additional.fields	Unita
expected_act	additional.fields	Unita
res_id	additional.fields	Unita
status_label	additional.fields	Unita
local_date	metadata.event_timestamp	Analizzato come yyyy-MM-d HH:mm:ss
has_principal	metadata.event_type	Mappatura: true → STATUS_UPDATE
has_principal_user	metadata.event_type	Mappatura: true → USER_UNCATEGORIZED
inc_type	metadata.event_type	Mappatura: "10000","10001","10002","40101","40400","40500","40700" → SCAN_NETWORK, 40102…
inc_type	metadata.product_event_type	Mappatura diretta
inc_id	metadata.product_log_id	Mappatura diretta
agent_ver	metadata.product_version	Mappatura diretta
device_name	principal.asset.hostname	Mappatura diretta
ip_address	principal.asset.ip	Unita
device_name	principal.hostname	Mappatura diretta
status_id	principal.investigation.status	Mapped: "1","2" → NEW, "3","4" → CLOSED, "5","6" → REVIEWED
ip_address	principal.ip	Unita
group_label	principal.user.attribute.labels	Unita
user_ou	principal.user.group_identifiers	Mappatura: ^.{0,255}$ → user_ou
name	principal.user.user_display_name	Mappatura diretta
user	principal.user.userid	Mappatura diretta
sec_action	security_result.action	Unita
action	security_result.action_details	Mappatura diretta
fail_reason	security_result.description	Mappatura: 0 → No Failure
encryption_label	security_result.detection_fields	Unita
usb_label	security_result.detection_fields	Unita
volume_label	security_result.detection_fields	Unita
rule_set_label	security_result.rule_labels	Unita
rule_name	security_result.rule_name	Mappatura diretta
sev	security_result.severity	Valori mappati (5 in totale, ad esempio 1 → INFORMATIONAL, 2 → ERROR, 3 → LOW)
sev	security_result.severity_details	Mappatura diretta
dst_app	target.application	Mappatura diretta
dst	target.asset.hostname	Mappatura diretta
file	target.file.full_path	Mappatura diretta
file_size	target.file.size	Rinominato/mappato
dst	target.hostname	Mappatura diretta
process_name	target.process.file.full_path	Mappatura diretta
dst_url	target.url	Mappatura diretta
dst	target.user.userid	Mappatura diretta
N/D	metadata.event_type	Costante: SCAN_NETWORK
N/D	metadata.product_name	Costante: Mcafee DLP
N/D	metadata.vendor_name	Costante: Mcafee
N/D	principal.investigation.status	Costante: NEW
N/D	security_result.description	Costante: No Failure
N/D	security_result.severity	Costante: INFORMATIONAL
dst	event.idm.read_only_udm.target.asset.hostname	Mappato dal log delle modifiche
device_name	event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.